Mare lanț de farmacii din România, amendat pentru încălcarea normelor GDPR. Farmaciștii nu pot păstra copie a cărții de identitate fără consimțământ

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal a sancționat compania Dr. Max SRL după ce a constatat că un angajat a păstrat copia unui act de identitate fără consimțământ și că operatorul nu a răspuns la cererea de ștergere a datelor depusă de o persoană vizată.

Sancțiune de 1.000 de euro pentru lanțul de farmacii Dr. Max

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a aplicat o sancțiune de 1.000 de euro companiei care administrează lanțul de farmacii Dr. Max, pentru încălcarea normelor GDPR.

Instituția de supraveghere a anunțat că, în august 2025, a încheiat o investigație privind operatorul Dr. Max SRL. În cadrul verificărilor au fost identificate nerespectări ale art. 12 alin. (3) și (4), precum și ale art. 17 din Regulamentul General privind Protecția Datelor (RGPD). De asemenea, a fost descoperită o situație în care un angajat al companiei a păstrat copia unui act de identitate fără ca persoana vizată să își fi exprimat consimțământul.

„Investigația a fost demarată ca urmare a unei plângeri prin care petenta reclama refuzul operatorului Dr.Max SRL de a da curs cererii sale de ștergere a datelor cu caracter personal. În cursul desfășurării investigației, Autoritatea Națională de Supraveghere a constatat că un angajat al operatorului a reținut o copie a cărții de identitate a petentei fără consimțământul acesteia”, conform Autorității pentru protecția datelor personale.

În urma acestor constatări, ANSPDCP a decis aplicarea unei amenzi contravenționale de 5.057 lei, echivalentul a 1.000 de euro.

Totodată, autoritatea a subliniat că firma nu a oferit probe care să arate că ar fi răspuns solicitării de ștergere a datelor personale înaintate de persoana vizată.

Compania trebuie să adopte o serie de măsuri

Pe lângă amenda pecuniară, deja achitată, compania este obligată să adopte o serie de măsuri corective menite să prevină repetarea unor astfel de situații. Acestea vizează atât partea procedurală, cât și responsabilizarea personalului.

Printre obligațiile impuse de ANSPDCP se regăsesc:

• elaborarea, actualizarea și implementarea unor proceduri interne prin care să fie gestionate în mod unitar și transparent cererile depuse de persoanele vizate, conform Regulamentului (UE) 679/2016 (art. 12-22). Aceste proceduri trebuie să acopere etapele de primire, analiză și soluționare a solicitărilor, dar și comunicarea răspunsurilor către cetățeni;
• asigurarea respectării principiului promptitudinii, astfel încât orice solicitare referitoare la date cu caracter personal să fie tratată și soluționată fără întârzieri nejustificate, pentru a garanta exercitarea efectivă a drepturilor persoanelor vizate;
• organizarea de sesiuni regulate de instruire pentru angajați, prin care aceștia să fie informați cu privire la responsabilitățile legale în materie de protecția datelor și la modul corect de aplicare a procedurilor interne;
• comunicarea unui răspuns oficial către reclamantă, în legătură cu cererea sa de ștergere a datelor, astfel încât aceasta să fie informată în mod clar și complet despre măsurile luate de operator pentru respectarea drepturilor sale.